Investigadores de Cyera descubrieron cuatro vulnerabilidades en OpenClaw que, al ser encadenadas, permiten el robo de datos, la escalada de privilegios y la creación de puertas traseras. Los fallos permiten evadir restricciones de sandbox y suplantar la identidad del propietario para tomar el control del sistema. Todos los errores han sido corregidos en la versión 2026.4.22, por lo que se recomienda actualizar inmediatamente.




Investigadores de ciberseguridad han revelado un conjunto de cuatro fallos de seguridad en OpenClaw que podrían encadenarse para lograr el robo de datos, la escalada de privilegios y la persistencia.

Las vulnerabilidades, denominadas colectivamente Claw Chain por Cyera, pueden permitir que un atacante establezca un punto de apoyo, exponga datos confidenciales y plante puertas traseras. A continuación se presenta una breve descripción de los fallos:

* CVE-2026-44112 (puntuación CVSS: 9.6/6.3) - Una vulnerabilidad de condición de carrera de tiempo de comprobación/tiempo de uso (TOCTOU) en el backend de sandbox gestionado de OpenShell que permite a los atacantes omitir las restricciones del sandbox y redirigir escrituras fuera de la raíz de montaje prevista.
* CVE-2026-44113 (puntuación CVSS: 7.7/6.3) - Una vulnerabilidad de condición de carrera TOCTOU en OpenShell que permite a los atacantes omitir las restricciones del sandbox y leer archivos fuera de la raíz de montaje prevista.
* CVE-2026-44115 (puntuación CVSS: 8.8) - Una vulnerabilidad de lista incompleta de entradas no permitidas que permite a los atacantes omitir la validación de la lista blanca incrustando tokens de expansión de shell en el cuerpo de un documento here (heredoc) para ejecutar comandos no aprobados en tiempo de ejecución.
* CVE-2026-44118 (puntuación CVSS: 7.8) - Una vulnerabilidad de control de acceso inadecuado que podría permitir a clientes de loopback que no son propietarios suplantar a un propietario para elevar sus privilegios y obtener el control sobre la configuración de la puerta de enlace, la programación de cron y la gestión del entorno de ejecución.

Cyera afirmó que la explotación exitosa de CVE-2026-44112 podría permitir a un atacante manipular la configuración, plantar puertas traseras y establecer un control persistente sobre el host comprometido, mientras que CVE-2026-44113 podría ser utilizado para leer archivos del sistema, credenciales y artefactos internos.

La cadena de explotación se desarrolla en cuatro pasos

* Un plugin malicioso, una inyección de prompts o una entrada externa comprometida obtiene la ejecución de código dentro del sandbox de OpenShell.
* Aprovechar CVE-2026-44113 y CVE-2026-44115 para exponer credenciales, secretos y archivos confidenciales.
* Explotar CVE-2026-44118 para obtener el control a nivel de propietario del tiempo de ejecución del agente.
* Usar CVE-2026-44112 para plantar puertas traseras o realizar cambios de configuración y establecer la persistencia.

La causa raíz de CVE-2026-44118, según la empresa de ciberseguridad, se debe a que OpenClaw confía en un indicador de propiedad controlado por el cliente llamado senderIsOwner, que señala si el llamador está autorizado para herramientas exclusivas del propietario, sin validarlo contra la sesión autenticada.

"El tiempo de ejecución de loopback de MCP ahora emite tokens portadores separados para propietarios y no propietarios, y deriva senderIsOwner exclusivamente del token que autenticó la solicitud", detalló OpenClaw en un aviso sobre la falla. "El encabezado de propietario-emisor suplantable ya no se emite ni se confía en él".

Tras una divulgación responsable, las cuatro vulnerabilidades han sido corregidas en la versión 2026.4.22 de OpenClaw. El investigador de seguridad Vladimir Tokarev ha sido acreditado por descubrir e informar los problemas. Se aconseja a los usuarios que actualicen a la versión más reciente para mantenerse protegidos contra posibles amenazas.

"Al convertir los propios privilegios del agente en un arma, un adversario se desplaza a través del acceso a datos, la escalada de privilegios y la persistencia, utilizando al agente como sus manos dentro del entorno", dijo Cyera. "Cada paso parece un comportamiento normal del agente para los controles tradicionales, lo que amplía el radio de impacto y hace que la detección sea significativamente más difícil".

Fuente:
THN